Configuration de l'authentification par carte à puce via ADSelfService Plus

    Note : Cette méthode d'authentification est disponible uniquement pour les comptes AD.

    En utilisant le smart card authenticator, vous pouvez protéger les applications d'entreprise, les machines Windows, les actions en libre-service telles que les réinitialisations de mot de passe et les déblocages de compte, les connexions Outlook on the web, les connexions VPN via des liens de vérification sécurisés, ainsi que les connexions à ADSelfService Plus.

    Configuration des smart cards pour MFA

    Suivez les étapes ci-dessous pour apprendre comment configurer les smart cards pour MFA.

    Prérequis

    • ADSelfService Plus doit utiliser une connexion HTTPS. En savoir plus.
    • Obtenez le certificat racine d'une autorité de certification (CA). Conservez ce certificat en lieu sûr car vous aurez besoin de ce fichier lors de la configuration du smart card authenticator. Si vous utilisez Active Directory Certificate Services (AD CS) comme CA, téléchargez le fichier de certificat depuis http://<CertificateAuthorityServerName>/certsrv/.
      • Note : Remplacez <CertificateAuthorityServerName> dans l'URL par le nom de votre serveur AD.
    Important : Windows fournit par défaut des connexions basées sur smart card, que vous devrez désactiver pour utiliser le Smart Card Authenticator d'ADSelfService Plus, d'autres méthodes MFA, et la vérification du mot de passe AD afin de sécuriser les connexions aux machines. Pour en savoir plus sur ce que sont les smart cards, comment fonctionne le processus d'authentification, et d'autres façons d'exploiter l'authentification par smart card avec ADSelfService Plus, cliquez ici.

    Préparation de votre environnement d'authentification par carte à puce

    L'inscription à l'authentification par smart card peut être effectuée par les utilisateurs ainsi que par l'administrateur. Vous devrez vous référer à la documentation fournie par votre fournisseur de smart card pour cela. Les étapes générales à suivre sont données ci-dessous.

    1. Les utilisateurs doivent se voir délivrer un certificat numérique et une clé privée par la CA de votre organisation. Si vous utilisez AD CS, vous pouvez consulter le guide Microsoft, qui explique comment les administrateurs ainsi que les utilisateurs peuvent demander et obtenir des certificats.
    2. Les certificats ainsi délivrés doivent être ajoutés dans l'attribut userCertificate dans AD pour les utilisateurs concernés.
      3. Note : L'étape deux peut être ignorée lorsque AD CS est la CA, car les certificats numériques des utilisateurs sont automatiquement liés à leur attribut userCertificate dans AD. Si une CA externe est utilisée pour l'inscription des smart cards, les certificats doivent être importés dans AD et liés à l'attribut userCertificate. En savoir plus.
    3. Maintenant, le certificat et la clé privée (généralement délivrés ensemble sous forme de fichier PFX) pour les utilisateurs provenant de la CA doivent être inscrits dans les smart cards pour compléter les étapes de préparation.

      4. Pour les cartes à puce sur les machines :

      • Windows : Importez le fichier PFX directement dans le magasin personnel de l'utilisateur via l'outil Certificate Manager (certmgr.exe).
      • macOS : Non applicable (seules les cartes à puce physiques sont compatibles avec macOS).
      • Linux : À l'aide des paramètres de votre navigateur, importez le fichier PFX via l'onglet Certificate Manager, et le certificat racine de la CA via l'onglet Authorities.
      For physical smart cards, please refer to the documentation provided by your smart card vendor on how to enroll the certificates with the hardware.

    Étapes de configuration

    1. Connectez-vous au portail web ADSelfService Plus avec des identifiants administrateur.
    2. Naviguez vers Configuration > Multi-factor Authentication > Smart Card Authentication.
      3. Capture d’écran
    3. Dans le champ Import CA Root Certificate, cliquez sur Browse pour importer le fichier de certificat racine requis (certificat X.509) obtenu à l'étape deux de la section des prérequis ci-dessus.
    4. Cliquez sur Enregistrer.
    Remarque :
    • Il est recommandé de redémarrer ADSelfService Plus après la configuration des smart cards pour assurer le bon fonctionnement de l'authenticator.
    • Actuellement, l'authentification par smart card peut être utilisée pour protéger les applications d'entreprise, les machines Windows, les actions en libre-service telles que les réinitialisations de mot de passe et les déblocages de compte, les connexions Outlook on the web, les connexions VPN via des liens de vérification sécurisés, ainsi que les connexions à ADSelfService Plus.
    • Les connexions sans mot de passe peuvent être configurées pour le portail ADSelfService Plus en utilisant des smart cards. En savoir plus.
    • L'authentification par smart card n'est pas prise en charge pour les connexions aux machines macOS ou Linux, au site mobile ADSelfService Plus, ou à l'application mobile.
    • L'authentification par smart card nécessite que l'agent de connexion soit en version 8.6 ou supérieure pour le MFA de connexion Windows. Si l'agent de connexion est d'une version antérieure et que l'authentification par smart card est un authenticator obligatoire ou la seule méthode MFA configurée pour les connexions aux machines, l'accès sera refusé.
    • L'authentification par smart card n'est pas prise en charge lorsque Load Balancer ou Reverse Proxy est activé pour ADSelfService Plus.
    • Le paramètre Trust this browser n'est pas pris en charge pour les connexions aux applications d'entreprise ou au portail ADSelfService Plus lorsque l'authentification par smart card est le seul authenticator configuré.

    Désactivation du fournisseur d'identifiants de carte à puce Windows

    Lorsque les connexions aux machines sont sécurisées à l'aide du smart card authenticator d'ADSelfService Plus, un mot de passe est d'abord requis, suivi de l'authentification par smart card (MFA). Cependant, Windows propose également une authentification native par smart card, qui permet aux utilisateurs de se connecter aux machines dès qu'ils insèrent une smart card, sans avoir besoin de saisir un mot de passe. Pour garantir que les machines sont sécurisées à la fois par un mot de passe et par le MFA d'ADSelfService Plus, vous devrez désactiver les connexions natives par smart card sur les machines avec une GPO en suivant les étapes ci-dessous.

    1. Pour désactiver le fournisseur d'identifiants smart card, un paramètre de stratégie de groupe Windows doit être configuré en utilisant soit l'Éditeur de stratégie de groupe locale (gpedit.msc) soit l'Éditeur de gestion des stratégies de groupe (gpmc.msc) :
      1. Modifiez une stratégie de groupe existante ou créez une nouvelle stratégie de groupe et naviguez vers Computer Configuration > Policies > Administrative Templates > System > Logon > Exclude credential providers.
      2. Cliquez avec le bouton droit sur Exclude credential providers et cliquez sur Edit.
      3. Sélectionnez Enabled.
      Capture d’écran
    2. Dans le champ Exclude the following credential providers, saisissez {8FD7E19C-3BF7-489B-A72C-846AB3678C96} pour désactiver l'authentification par smart card Windows par défaut pour les connexions aux machines.
      3. Note : Il est recommandé de désactiver tous les fournisseurs d'identifiants Windows sauf le fournisseur d'identifiants par mot de passe lors de la sécurisation des connexions aux machines Windows avec ADSelfService Plus.
      Capture d’écran
    3. Cliquez sur Apply puis sur OK.

    Gestion des configurations d'authentification par carte à puce

    Après avoir ajouté une carte à puce pour l'authentification, vous pouvez effectuer l'une des fonctions suivantes :

    Ajouter une nouvelle carte à puce
    1. Naviguez vers Configuration > Multi-factor Authentication > Smart Card Authentication.
    2. Cliquez sur le bouton Add Certificate Authority en haut à droite.
    3. Saisissez tous les détails requis et cliquez sur Save.
    Activation ou désactivation d’une carte à puce configurée
    1. Naviguez vers Configuration > Multi-factor Authentication > Smart Card Authentication.
    2. Pour activer ou désactiver une smart card configurée, cliquez sur l'icône rouge (désactiver l'icône) ou sur l'icône verte de validation (activer l'icône) située dans la colonne d'action d'une smart card particulière.
    Supprimer une carte à puce configurée
    1. Naviguez vers Configuration > Multi-factor Authentication > Smart Card Authentication.
    2. Cliquez sur l’icône de suppression (icône supprimer) de la carte à puce que vous souhaitez supprimer.
    3. Cliquez sur Yes pour confirmer la suppression.